Segurança da informação: do conceito ao Secure Score
Confidencialidade, integridade e disponibilidade são bonitos no slide e inúteis sem tradução. Veja como cada pilar vira configuração concreta no seu tenant Microsoft — e por que o Secure Score é o placar mais honesto que a sua empresa tem.
Segurança da informação é um dos assuntos em que mais se fala e menos se decide. A maior parte do material disponível para gestores para na definição: proteger a informação quanto à confidencialidade, à integridade e à disponibilidade. Está correto e não serve para nada — porque não diz o que ligar, o que desligar e em que ordem.
Este texto faz a tradução. Cada pilar do conceito vira aqui um conjunto de controles concretos dentro do ecossistema Microsoft, e termina em um número que você pode acompanhar: o Microsoft Secure Score.
Os três pilares, traduzidos
Confidencialidade: quem consegue ver
Confidencialidade não é criptografia. É a resposta a uma pergunta bem mais desconfortável: se um estagiário do comercial quisesse abrir a pasta do jurídico hoje à tarde, ele conseguiria?
Na prática, confidencialidade é:
- Identidade forte: MFA em 100% das contas, sem exceção “provisória” para o diretor
- Menor privilégio: ninguém carrega permissão de administrador global o dia inteiro; o privilégio é elevado sob demanda, com aprovação e prazo, via PIM
- Classificação e rotulagem: o documento sabe o que ele é, e o rótulo viaja com o arquivo mesmo fora da empresa
- Prevenção de vazamento (DLP): a política impede que dado sensível saia por e-mail, por link público ou pela pasta do celular pessoal
Integridade: confiar no que está escrito
De nada adianta o dado estar guardado se ninguém consegue provar que ele não foi alterado. Integridade é o pilar que sustenta auditoria, contabilidade e qualquer discussão jurídica futura.
- Trilha de auditoria ativa e retida por prazo compatível com a sua obrigação legal — o padrão da plataforma raramente é o suficiente
- Controle de versão e retenção em SharePoint e OneDrive, com política de exclusão definida
- Proteção contra adulteração no endpoint, para que o próprio agente de segurança não possa ser desligado por quem invadiu a máquina
- Segregação de funções: quem aprova não é quem executa
Disponibilidade: continuar operando
O incidente mais comum que derruba uma empresa não é o vazamento. É a indisponibilidade — sistema fora, dado criptografado, ninguém trabalha. E aqui existe uma armadilha específica:
Backup que nunca foi restaurado não é backup. É uma suposição cara, que só será testada exatamente no dia em que não pode falhar.
- Cópia imutável e fora do domínio — se o ransomware pegou o Active Directory, ele pega o backup que depende dele
- Teste de restauração com periodicidade definida e resultado registrado
- RTO e RPO acordados com o negócio, não estimados pela TI sozinha
- Redundância proporcional ao impacto: nem todo sistema merece alta disponibilidade, e nem todo sistema crítico está protegido
Por que o Secure Score é o melhor placar disponível
O Microsoft Secure Score avalia continuamente a configuração real do seu tenant contra um conjunto de boas práticas de identidade, dispositivos, aplicativos e dados, e devolve uma pontuação percentual com as ações recomendadas ordenadas por impacto.
Ele tem três virtudes que nenhum relatório de fornecedor tem:
- Não depende de opinião. Ele lê a configuração vigente, não o que alguém disse que fez.
- É comparável no tempo. Dá para mostrar à diretoria a curva de dezembro até hoje.
- Já vem priorizado. Cada ação traz o ganho de pontos e o impacto sobre o usuário.
E tem um limite honesto, que precisa ser dito: o Secure Score não é uma nota de segurança absoluta. Ele mede aderência à configuração recomendada dentro do universo Microsoft. Não avalia o seu firewall de borda, o código do seu sistema interno nem o comportamento do seu time. Uma pontuação de 90% com um servidor legado exposto na internet continua sendo um ambiente vulnerável.
Dito isso: se a sua pontuação está abaixo de 50%, essa discussão é acadêmica. Abaixo de 50% significa que controles básicos de identidade estão desligados — e é ali que a conversa precisa começar.
A ordem certa de atacar
A tentação é abrir a lista de recomendações e ir clicando de cima para baixo. Isso costuma acabar em chamado aberto e política revertida na sexta-feira. A ordem que funciona é outra:
- Identidade primeiro. MFA universal, bloqueio de autenticação legada, proteção de contas privilegiadas. É onde quase todo incidente começa e onde o ganho é maior.
- E-mail em seguida. Anti-phishing, Safe Links, SPF/DKIM/DMARC. É o vetor de entrada mais usado.
- Dispositivo depois. Compliance, criptografia, redução de superfície de ataque via Intune e Defender.
- Dado por último. Classificação, rótulos e DLP — porque exigem decisão de negócio sobre o que é sensível, e isso leva tempo.
Em cada etapa, o mesmo método: aplicar em um grupo piloto, medir o impacto na rotina, comunicar antes de expandir. Segurança que atrapalha demais é revertida — e um controle revertido protege zero.
O que isso significa para quem decide
Se você é CTO, gerente de TI ou dono da empresa, três perguntas resolvem a primeira reunião sobre o assunto:
- Qual é o nosso Microsoft Secure Score hoje, e qual era há seis meses?
- Quantas contas ainda acessam o ambiente apenas com senha?
- Quando foi a última restauração de backup testada de ponta a ponta?
Se as três respostas não vierem em números, o problema não é técnico. É de visibilidade — e é o primeiro a ser resolvido.
Comece pelo número: descubra seu Secure Score real
A auditoria gratuita da WebOps mede seu Microsoft Secure Score, mapeia os custos do Azure e avalia a postura dos endpoints — com acesso somente-leitura, sem alterar nada. Você recebe um relatório priorizado por risco e esforço, seu contratando ou não.